DIVISION D'ORLÉANS
CODEP-OLS-2020-033774 Orléans, le 29 juin 2020 Monsieur le Directeur du Centre nucléaire de Production d'Electricité de SAINT-LAURENT-DES-EAUX BP 42 41220 SAINT-LAURENT-NOUAN
Objet : Contrôle des installations nucléaires de base CNPE de Saint-Laurent-des-Eaux - INB n° 100 Inspection réactive n° INSSN-OLS-2020-0983 du 23 juin 2020 « Arrêt automatique réacteur et déclenchement intempestif du système d'injection de sécurité »
Réf. : Code de l'environnement, notamment son chapitre VI du titre IX du livre V

## Monsieur Le Directeur,

Dans le cadre des attributions de l'Autorité de sûreté nucléaire (ASN) précisées en référence, concernant le contrôle des installations nucléaires de base, une inspection réactive a eu lieu le 23 juin 2020 au CNPE de Saint-Laurent-des-Eaux dans le cadre de l'analyse des causes et conséquences d'un arrêt automatique réacteur, avec déclenchement intempestif du système d'injection de sécurité, survenu le 15 juin 2020 sur le réacteur n° 1. Je vous communique, ci-dessous, la synthèse de l'inspection ainsi que les principales demandes et observations qui résultent des constatations faites, à cette occasion, par l'inspecteur.

## Synthèse De L'Inspection

L'inspection en objet visait à analyser les causes identifiées par l'exploitant de l'arrêt automatique réacteur (AAR) survenu le 15 juin 2020, ainsi que les conséquences de la mise en service intempestive du système d'injection de sécurité, qui a eu lieu dans la continuité de l'événement. Ce contrôle a également permis de vérifier les dispositions organisationnelles et matérielles mises en place par le CNPE de Saint-Laurent suite à ces deux événements. Dans ce contexte, l'inspection a consisté en : - une visite de terrain sur l'armoire électrique où avaient lieu les manipulations à l'origine des deux événements ;
- une visite de terrain dans le bâtiment réacteur pour identifier le matériel potentiellement impacté par l'injection de sécurité intempestive notamment ;
- un contrôle des documents techniques associés aux deux événements, qu'ils soient liés à la préparation des activités sur l'armoire électrique, à leur déroulement effectif ou à la conduite des installations pendant et après l'AAR et la mise en service du système d'injection de sécurité.

Ces contrôles ont révélé une gestion adaptée de l'événement lui-même et de ses conséquences sur l'installation mais également plusieurs déficiences concernant la préparation et la réalisation des activités. Quelques points d'amélioration transverses ont également été identifiés lors de l'inspection.

## Eléments De Compréhension

Le 15 juin 2020, l'ASN a été informée en fin d'après-midi, qu'un arrêt automatique réacteur suivi d'une mise en service intempestive du système d'injection de sécurité avaient eu lieu vers 16h00 sur le réacteur n° 1 de Saint-Laurent. Ces événements résultaient d'une intervention humaine sur un tableau électrique d'alimentation en basse tension (48 v) de divers systèmes de sécurité et de sauvegarde. L'ASN a rapidement échangé avec vos services concernant les dispositions et contrôles à mettre en place sur l'installation avant tout redémarrage de celle-ci et vous avez pu lui confirmer, le 19 juin 2020 que le réacteur n° 1 ne redémarrerait pas immédiatement, son couplage ayant été reporté *a minima* au mercredi 24 juin, en fonction des activités à réaliser sur une soupape de sécurité du circuit primaire principal (soupape SEBIM 1RCP020VP). Dans ce contexte, l'ASN vous a informé de sa venue sur site le 23 juin afin d'investiguer sur l'événement avant l'éventuel redémarrage de l'installation afin de vérifier : - l'état du matériel dans le bâtiment réacteur ;

- la configuration du tableau sur lequel avait lieu l'intervention ayant généré les deux événements ; - les dispositions organisationnelles et humaines ayant pu conduire aux événements ; - les dispositions matérielles prises avant tout redémarrage.
Concernant ce dernier point, vous avez rapidement précisé que le redémarrage de ce réacteur au 24 juin n'était plus d'actualité et qu'il ne redémarrerait pas avant son arrêt pour simple rechargement, prévu initialement sous quelques semaines.

## A. Demandes D'Actions Correctives Analyse Des Risques Associée Au Contrôle Électriques Des Redresseurs (Adr Modèle N° 170392)

L'armoire 1LCA de distribution du 48 v peut être alimentée par deux redresseurs (1LCA001RD ou 1LCA002RD) ou par une batterie de secours. Les redresseurs (qui sont des éléments importants pour la protection des intérêts) doivent être régulièrement contrôlés afin de s'assurer du maintien de leur qualification en situation accidentelle notamment. Pour pouvoir effectuer ces contrôles, l'exploitant réalise une analyse des risques et y précise les parades retenues pour réduire ou s'affranchir des risques identifiés. L'analyse des risques (AdR) associée au contrôle des redresseurs alimentant l'armoire électrique LCA de distribution du 48 v vers divers relayages n'identifiait pas cette activité comme étant à risque d'arrêt automatique ou de déclenchement de l'injection de sécurité, alors même que ces relayages concernent notamment ces dispositifs de sécurité. Comme parade permettant de maintenir l'armoire LCA sous tension, il est demandé de ne pas actionner le disjoncteur « arrivée » *de la batterie (1LCA130JA).* Les inspecteurs ont relevé qu'il n'existait pas, sur le terrain, de dispositifs (du type sabot, protection plexiglass…) garantissant l'absence de manipulation du disjoncteur 1LCA130JA pendant le contrôle d'un redresseur. Cela est d'autant plus important, compte tenu que la gamme utilisée par l'intervenant demande à ce que le second redresseur est également isolé de l'armoire 1LCA (voir demande A3). Ainsi, une mauvaise manipulation du disjoncteur 1LCA130JA entraîne *a fortiori* la perte totale d'alimentation de l'armoire 1LCA, et par conséquent l'arrêt automatique du réacteur. A noter par ailleurs que la note technique n° 6895 relative à la maîtrise du risque d'AAR précise, en son chapitre dédié aux définitions, qu'un matériel à risque d'AAR est un « *matériel dont la défaillance* intrinsèque, la manœuvre inappropriée *ou la sollicitation involontaire conduit systématiquement à un AAR* » (ce qui est manifestement le cas d'une perte totale d'alimentation de l'armoire 1LCA). L'AdR n'identifie pas non plus le risque de mise en route intempestive de l'injection de sécurité en cas de réalimentation de l'armoire LCA sans avoir pris au préalable des dispositions particulières. Il semble d'ailleurs ne pas exister de note ou de référentiel managérial sur ce sujet. Les identifications des risques et les parades associées ne sont donc pas adaptées aux nouvelles dispositions de mise en œuvre des contrôles des redresseurs 1LCA001 et 002RD. Demande A1 : je vous demande d**e compléter l'analyse des risques associée au contrôle des** redresseurs alimentant les armoires LCx du CNPE **afin de tenir compte du retour** d'expérience des événements du 15 juin 2020. Dans ce cadre, vous veillerez notamment à la bonne prise en compte de la note technique n° **6895 relative à la maîtrise du risque d'AAR.** Demande A2 : je vous demande par ailleurs de prendre des dispositions, y compris matérielles (sabot de verrouillage, plexiglass de protection…**), pour sécuriser les disjoncteurs dont la** manipulation peut conduire, dans certaines situation, à un AAR systématique. Vous me préciserez les actions engagées pour répondre à cette demande. 

## Réalisation De L'Intervention Sur Les Redresseurs 1 Lca001 Et 002Rd

L'inspection a permis de comparer les gammes de contrôle des redresseurs 1LCA001 et 002RD utilisées le 15 juin 2020 au regard de celles utilisées antérieurement sur Saint-Laurent. En effet, selon les informations collectées par l'ASN, les agents en charge des contrôles des redresseurs intervenaient pour la première fois avec une gamme nationale (déclinée en trois tâches de travaux référencées 03146982-01, 02 et 03) alors qu'antérieurement l'activité s'appuyait sur une seule gamme locale d'intervention (relative au contrôle de fonctionnement chargeur de batterie COREDEL TYPE S3N3T LCA). Il s'avère que non seulement les gammes sont très éloignées l'une de l'autre (tant dans leur forme que dans leur architecture globale) mais que les dispositions préalables sont également différentes et paraissent moins robustes en 2020. Alors qu'historiquement les contrôles sur un redresseur s'effectuaient en conservant la disponibilité du second et de la batterie, ils doivent maintenant s'effectuer avec les deux redresseurs isolés, l'armoire concernée ne restant alimentée que par la batterie de secours. Les agents présents lors de l'inspection n'ont pas pu expliquer les raisons techniques de cette apparente dé-fiabilisation de l'alimentation des armoires LCA pendant le contrôle d'un redresseur. Cette situation a pu perturber les intervenants puisque le fonctionnement d'une armoire sur batterie est régulièrement considéré comme une situation de secours et que la décharge d'une batterie pendant un essai peut nuire à sa capacité à remplir sa fonction le temps attendu, si une situation incidentelle survient avant qu'elle ne soit rechargée. Il apparait que l'appropriation et la compréhension de l'activité et de ces nouvelles dispositions par les intervenants n'ont pas été suffisantes.

Par ailleurs, l'absence d'identification du risque d'AAR sur l'activité de contrôle des redresseurs n'a pas permis une appropriation adaptée de l'activité par le personnel de conduite qui ne pouvait alors pas être préparé aux conséquences d'une erreur de manipulation sur l'armoire LCA. Demande A3 : je vous demande **de vous assurer, notamment lors de la mise en œuvre d'une** procédure nat**ionale en remplacement d'une ancienne procédure locale, que** : - l'analyse des risques est ada**ptée aux nouvelles dispositions** ; - **les intervenants comprennent les modifications apportées aux procédures** ; - les agents se soient convenablement appropriés une activité, en fonction des enjeux identifiés et de son impact sur la sûreté, avant qu'ils puissent se prononcer comme étant prêts **à la réaliser.**

Enfin, il a été confirmé aux inspecteurs que la mise en œuvre des pratiques de fiabilisation n'avait été que partielle lors de l'intervention sur les redresseurs (préjob briefing effectif mais pas d'autocontrôle ni de contrôle croisé) alors que cette ligne de défense est régulièrement mise en avant par EDF pour éviter, ou tout au moins limiter, les erreurs humaines. Sur le terrain, il a pu être constaté que l'étiquetage associé à chacun des disjoncteurs d'alimentation de 1LCA était très réduit, ne permettant pas une identification aisée du matériel à manœuvrer alors même qu'un même marquage « T2 », de taille significative, était apposé sur chaque tiroir des disjoncteurs. Par ailleurs, il existe également un étiquetage spécifique relatif aux dispositions à mettre en œuvre avant de réalimenter le tableau LCA. Cet affichage n'a pas été suffisant pour empêcher une manœuvre « reflexe » du disjoncteur d'arrivée batterie après son déclenchement. Demande A4 **: je vous demande de poursuivre le déploiement des pratiques de fiabilisation** (y compris en mode réflexe) au sein des équipes et de rappeler que ces pratiques ne doivent pas obérer l'importance des analyses de risques préalables à une activité, **ces deux** dispositions étant complémentaires. Demande A5 : dans le **cadre de l'analyse approfondie de cet événement, je vous demande de** porter une attention particulière aux facteurs organisationnels et humains (importance de l'équipe constituée, nouvelle procédure, disposition du matériel, affichages sur place**…) qui** ont pu conduite aux deux erreurs successives qui se sont produites. Lors de l'inspection, vous avez pu apporter des éléments concernant la pression et la température du circuit primaire pendant l'événement mais également le niveau et la pression atteints dans le réservoir de décharge du pressuriseur (RDP). En effet, la mise en service de l'injection de sécurité a conduit au remplissage du pressuriseur puis à la montée en pression du circuit primaire jusqu'à l'ouverture d'une des soupapes de sécurité de ce circuit (SEBIM 1RCP020VP). Les SEBIM se déchargent dans le RDP. Les valeurs de niveau et de pression atteintes dans le RDP vous permettent de garantir l'intégrité du RDP mais ne vous garantissent pas l'absence de déformation des disques de rupture qui protègent ce réservoir d'un éclatement complet. Demande A6 : je vous demande de vérifier, pendant l'arrêt en cours du réacteur n° **1, l'absence** 
de déformation des disques de rupture protégeant le réservoir de décharge du pressuriseur.

Vous me rendrez compte des résultats de ce contrôle.

## B. Demandes De Compléments D'Information Analyse De La Modification Pnpp 1595

La soupape de sécurité SEBIM qui a été sollicitée lors de l'événement avait été modifiée au titre de la PNPP1595. Si elle s'est ouverte conformément aux derniers contrôles de tarage qu'elle avait subis, vous avez constaté, lors de votre inspection des matériels potentiellement impactés lors de l'événement, qu'elle laissait apparaitre des traces de bore confirmant une inétanchéité externe sur plusieurs éléments de sa constitution. Au regard d'autres événements ayant concerné des soupapes également modifiées sur d'autres CNPE du parc, il convient d'analyser le retour d'expérience de ce matériel avant de poursuivre son déploiement (prévu pour partie en 2020 pour le réacteur n° 2 de Saint-Laurent et sur les deux prochaines visites décennales des réacteurs n° 1 et 2). Demande B1 : je vous demande de me transmettre**, avec l'appui de vos services centraux,** l'analyse du retour d'expérience du déploiement de la modification PNPP1595 au regard des divers événements, écarts ou anomalies rencontrés sur des SEBIM modifiées.

## Contrôle Du Circuit Primaire

L'événement ayant conduit à un démarrage intempestif de l'injection de sécurité et ayant induit des gradients de température acceptables selon votre analyse au sein de la ligne d'expansion du pressuriseur, vous avez retenu un classement en catégorie 2 de l'événement au titre des équipements sous pression. Ce classement vous amène à ne pas faire de gestes de contrôle particuliers sur le circuit primaire principal. L'ASN vous a signalé que les 13 ouvertures consécutives de la SEBIM 1RCP020VP avaient pu générer des coups de bélier et fragiliser certains supportages du pressuriseur, de sa ligne d'expansion ou des tuyauteries de connexion des SEBIM. Vous n'avez pas pu apporter de positionnement factuel de vos services centraux sur le sujet, les échanges étant initialement restés oraux. Par courriel du 26 juin 2020, vous avez fait parvenir à l'ASN une analyse de vos services centraux qui précise que sur la base des informations qui lui ont été transmises, « l'événement vu par la ligne d'expansion du pressuriseur se caractérise par une baisse rapide de température, d'une valeur de 35 °C (côté branche chaude) à 41 °C (côté pressuriseur) depuis la température de fonctionnem*ent normal. L'événement n'est atypique que par le gradient de* baisse en température (estimé par le CNPE à 500°C/h), la température atteinte se situant entre la température de fonctionnement normal et la température à froid. Les supports variables sont constitués de ressorts sur lesquels est posée la ligne et dont l'effort de rappel dépend linéairement de la position, aucun mode de défaillance lié à la cinétique de déplacement (elle-même dépendant des dilatations de la ligne, donc très inférieure au gradient de température) n'est envisagé. Par conséquent, l'événement n'a pas généré de sollicitation des supports variables plus sévère qu'une baisse de température liée à une mise à l'arrêt (amplitude de l'ordre de 300 °C). » Dans ces conditions, et considérant qu'aucun désordre n'a été constaté lors des derniers examens à froid réalisés, vos services centraux ne « jugent *pas nécessaire de prévoir une inspection des supports variable de* la LEP suite à cet événement. » Je note que le gradient de température a été analysé mais que cette position ne tient pas compte des « chocs » susceptibles d'avoir été provoqués par 13 ouvertures consécutives de la SEBIM 1RCP020VP, alors que j'ai bien noté par ailleurs qu'un ressuage du tore d'échappement du pressuriseur serait effectué pendant l'arrêt en cours. Demande B2 : je vous demande de me transmettre tout **élément permettant de garantir** l'absence d'impact des ouvertures répétées de SEBIM sur les supportages **du pressuriseur,** de sa ligne d'exp**ansion et de ses accessoires.**

## C. Observations Contrôles Effectués A Posteriori De L'Événement Par Le Cnpe

C1 : l'inspection a permis de vérifier que le CNPE avait pris des dispositions adaptées suite à l'arrêt automatique réacteur et à la mie en service intempestive de l'injection de sécurité en : - considérant la SEBIM 1RCP020VP comme indisponible, ce qui ne permettait pas un redémarrage de l'installation en l'état ;
- effectuant une analyse de la montée en pression du circuit primaire afin de définir la catégorie dont relevait la situation rencontrée (situation de 2ème catégorie) ;
- vérifiant la pression et le niveau du RDP pour s'assurer de son intégrité ; - programmant des contrôles sur le tore d'échappement du pressuriseur - développant des outils de communication, présentés aux inspecteurs, pour sensibiliser l'ensemble des acteurs aux conséquences de l'événement.

Les dispositions et vérifications prises semblent satisfaisantes. Les résultats devront être transmis à l'ASN. C2 : l'ASN a attiré votre attention sur les différents critères de déclaration qui peuvent correspondre aux événements rencontrés (AAR, mise en œuvre d'un système de sauvegarde, sollicitation d'une soupape de sûreté). Quel que soit le critère retenu par le CNPE, il conviendra que l'analyse approfondie de ces événements traite l'ensemble des initiateurs des événements et de leurs conséquences pour l'installation.

## Pression Atteinte Par Le Rdp

C3 : lors de l'inspection, des informations qui peuvent apparaitre contradictoires ont été fournies à l'ASN concernant la pression maximale atteinte par le RDP (4,1 ou 4,8 bar). Vous n'aviez également pas été en mesure de présenter les incertitudes de mesures associées à ces valeurs. Sachant que votre démonstration de l'intégrité du RDP repose une mesure de pression qui serait restée inférieure à 80 % de la pression de rupture des disques protégeant ce réservoir (entre 6,3 et 7,0 bar), il convient de s'assurer de la justesse des valeurs annoncées. Par courriel du 26 juin vous avez pu préciser les éléments attendus et confirmer que la pression maximale atteinte au sein du RDP n'avait pas dépassé 4,824 bar et était donc bien restée inférieure à 80 % de la pression de rupture prévue, soit 5,04 bar.

## 

Sauf difficultés liées à la situation sanitaire actuelle, vous voudrez bien me faire part, sous deux mois, de vos remarques et observations, ainsi que des dispositions que vous prendrez pour remédier aux constatations susmentionnées. Pour les engagements que vous prendriez, je vous demande de les identifier clairement et d'en préciser, pour chacun, l'échéance de réalisation. Dans le cas où il ne vous serait pas possible de respecter les délais de réponse précités, je vous demande de prendre l'attache de la division par messagerie (voir www.asn.fr) pour convenir d'un délai de réponse partagé. Enfin, conformément à la démarche de transparence et d'information du public instituée par les dispositions de l'article L. 125-13 du code de l'environnement et conformément à l'article R. 596-5 du code de l'environnement, je vous informe que le présent courrier sera mis en ligne sur le site Internet de l'ASN (www.asn.fr). Je vous prie d'agréer, Monsieur le Directeur, l'assurance de ma considération distinguée.

Le Chef de la division d'Orléans, Signé par Alexandre HOULÉ